Sophos Web Appliance aktualisiert sich fortan via HTTPS
In der Schutzlösung Web Appliance von Sophos klaffen Sicherheitslücken. Unter anderem könnten Angreifer Nutzern manipulierte Updates unterjubeln.
Sophos hardwaregestützte Schutzlösung Web Appliance ist verwundbar. Angreifer sollen an zwei Schwachstellen ansetzen können, um Geräte zu kompromittieren, warnt der Hersteller. Die aktuelle Software-Version 4.3.2 löst die Sicherheitsprobleme – alle vorigen Ausgaben sind bedroht.
Beide Lücken sollen Angreifer ohne Authentifizierung aus der Ferne ausnutzen können. Das Notfall-Team vom BSI CERT Bund stuft das Risiko als hoch ein. Mittels einer Lücke in der FTP-Weiterleitungsseite könnte Angreifer eine XSS-Attacke auslösen. Darüber hinaus sollen Definitionsupdates nun verschlüsselt via HTTPS kommen. Zusätzlich werden Updates auf Integrität überprüft – das soll auch schon bei der HTTP-Übertragung der Fall gewesen sein. Um Man-in-the-Middle-Übergriffe vorzubeugen, setzt Sophos nun auf Certificate Pinning. (des)
